Vigilanza sulla protezione dei dati in Svizzera: competenze dell’IFPDP e degli organi cantonali

Due livelli, due vigilanze: come viene sorvegliata la protezione dei dati in Svizzera

La vigilanza sulla protezione dei dati in Svizzera è bipartita. A livello federale vigila l’Incaricato federale della protezione dei dati e della trasparenza (IFPDP) in quanto autorità indipendente; per gli organi pubblici dei Cantoni esistono invece autorità di vigilanza proprie.

La competenza non dipende dalla materia, bensì dall’ente che agisce: da un lato gli organi federali e le imprese private, dall’altro gli organi pubblici cantonali. Ogni livello si basa su disposizioni proprie: a livello federale la Legge federale sulla protezione dei dati (LPD), nei Cantoni le leggi sull’informazione e sulla protezione dei dati (LIPD), come ad esempio quella del Canton Zurigo o del Canton Basilea Città.

L’IFPDP: vigilanza sugli organi federali e sulle imprese private

L’IFPDP è un’autorità indipendente con compiti nel campo della protezione dei dati e del principio di trasparenza. In qualità di autorità di vigilanza sulla protezione dei dati, tutela il diritto di ogni persona alla sfera privata e veille affinché gli organi federali e le imprese private non effettuino trattamenti illeciti di dati personali.

Esamina le violazioni delle norme sulla protezione dei dati e, se necessario, ordina provvedimenti amministrativi per farle rispettare. I responsabili – privati o pubblici – devono elaborare una valutazione d’impatto sulla protezione dei dati quando un trattamento di dati personali presenta un rischio potenzialmente elevato per la personalità o i diritti fondamentali delle persone interessate.

Il secondo pilastro è il principio di trasparenza: l’IFPDP funge da organo di conciliazione per l’accesso ai documenti ufficiali. Se un’autorità federale nega l’accesso ai sensi della Legge sulla trasparenza, media su richiesta tra privati e autorità; in assenza di accordo, emette raccomandazioni.

Presenta annualmente un rapporto all’Assemblea federale (rapporto di attività dell’IFPDP). La hotline per questioni relative alla protezione dei dati è raggiungibile dal lunedì al venerdì dalle 10 alle 11:30 al numero 058 462 43 95; in alternativa è disponibile il modulo di contatto. Sede: Feldeggweg 1, 3003 Berna.

Incaricati cantonali della protezione dei dati: vigilanza indipendente con legge propria

Le autorità cantonali sono organi di vigilanza indipendenti. Il loro profilo di compiti è simile a quello dell’IFPDP, ma è orientato agli organi pubblici del proprio Cantone.

La dottoressa Dominika Blonski, Incaricata della protezione dei dati del Canton Zurigo, indica come compito centrale la tutela dei dati personali e quindi della sfera privata degli abitanti del Cantone. Il suo ufficio sostiene gli organi pubblici nell’attuazione della protezione dei dati e della sicurezza dell’informazione, mette a disposizione linee guida e modelli e offre ai Comuni e alle città un formato di formazione sulla protezione dei dati e sulla sicurezza dell’informazione.

Per la popolazione fornisce consigli pratici, checklist e lettere modello per far valere i propri diritti.

Per Basilea Città, l’Incaricata della protezione dei dati Danielle Kaufmann descrive il profilo come segue: l’ufficio svolge compiti nel campo del diritto alla protezione dei dati e del principio di trasparenza, con l’obiettivo di tutelare i diritti fondamentali delle persone nel Canton Basilea Città.

Consiglia gli organi pubblici sul trattamento lecito delle informazioni e i privati sui loro diritti, si pronuncia su trattamenti di dati rilevanti e su progetti legislativi e controlla il rispetto delle pertinenti disposizioni di legge. Anche il principio di trasparenza rientra quindi nel campo di compiti cantonale.

La base giuridica è la LIPD cantonale. Nel Canton Zurigo sta per entrare in vigore una nuova LIPD; il commento pratico alla LIPD uscirà nel 2027 in tempo utile come open access gratuito, e l’Incaricata della protezione dei dati illustra le norme vigenti in forma compatta («LIPD in breve»).

A Basilea Città la LIPD rivista è già in vigore e ha portato con sé nuovi requisiti che, insieme al progredire della digitalizzazione dell’amministrazione e al crescente impiego di applicazioni di intelligenza artificiale, contribuiscono all’elevato carico di lavoro dell’autorità di vigilanza.

Lo strumento informativo ricorrente è il rapporto di attività: Zurigo ha pubblicato il rapporto di attività 2025, Basilea Città i rapporti 2024 e 2025.

Chi è competente? Delimitazione tra Confederazione, Cantoni e economia privata

Tre configurazioni tipiche: se un reclamo è diretto contro un organo federale, è competente l’IFPDP. Se riguarda un’amministrazione cantonale, l’indirizzo corretto è l’Incaricato della protezione dei dati del Cantone interessato; la sua vigilanza si estende agli organi pubblici del proprio Cantone. Se si tratta di un’impresa privata, si applica il diritto federale e quindi la competenza dell’IFPDP.

Per scegliere l’interlocutore giusto occorre chiarire tre domande: chi ha trattato i dati – un organo federale, un organo pubblico cantonale o un’impresa privata? In quale Cantone opera l’organo pubblico? E si tratta di protezione dei dati o di accesso ai documenti ufficiali?

Per l’accesso ai documenti va distinta la competenza per livello: a livello federale l’IFPDP è l’organo di conciliazione ai sensi della Legge sulla trasparenza; a Basilea Città l’Incaricato della protezione dei dati svolge anche compiti legati al principio di trasparenza. I privati possono farsi consigliare dagli uffici cantonali sui propri diritti, ma la vigilanza sulle imprese private spetta all’IFPDP.

IFPDP e incaricati cantonali della protezione dei dati: confronto delle competenze

Individuare l’autorità di vigilanza competente: tre domande

Temi attuali: IA, outsourcing cloud e obblighi di notifica

Intelligenza artificiale: l’IFPDP segnala che la Legge federale sulla protezione dei dati (LPD) si applica direttamente ai trattamenti di dati basati sull’IA; l’IA sta penetrando anche in Svizzera in misura rapidamente crescente nella vita della popolazione.

Nella stessa direzione va l’esperienza dell’autorità di vigilanza basilese: il crescente impiego di applicazioni di intelligenza artificiale figura tra le ragioni dell’aumentato carico di lavoro.

Cloud e trasmissione all’estero: Privatim, la Conferenza degli incaricati svizzeri della protezione dei dati, mette in guardia con forza dall’esternalizzazione di dati personali particolarmente sensibili verso soluzioni cloud internazionali.

L’IFPDP tratta la comunicazione di dati personali all’estero, soggetta a regole speciali, nonché il trattamento di dati per conto terzi (outsourcing) come temi specifici.

Digitalizzazione dell’amministrazione: l’Incaricata zurighese della protezione dei dati descrive un nuovo tema per Comuni e città: la gestione digitale della posta in entrata.

Molti Comuni e città prevedono di aprire centralmente, scansionare e distribuire automaticamente la corrispondenza in arrivo, in modo che possa essere ulteriormente elaborata nei sistemi di gestione aziendale e nelle applicazioni specializzate delle unità amministrative.

Strumenti e obblighi di notifica: dove sussiste un rischio potenzialmente elevato, la LPD richiede una valutazione d’impatto sulla protezione dei dati.

A Basilea Città un nuovo modulo dovrebbe semplificare la valutazione d’impatto per iniziative e progetti, nonché la successiva consultazione preventiva per tutti i partecipanti, chiedendo miratamente le informazioni necessarie all’autorità di vigilanza per la sua valutazione.

È stata inoltre integrata la scheda informativa sulla notifica delle violazioni della protezione dei dati: precisa a partire da quale soglia di rischio le violazioni della protezione dei dati debbano essere notificate all’Incaricato della protezione dei dati e in quali casi le persone interessate debbano essere informate. Nella conferenza Privatim gli incaricati svizzeri della protezione dei dati coordinano posizioni comuni.

Informazioni, reclami, consulenza: trovare l’interlocutore giusto

Le persone interessate possono fare affidamento sul diritto all’autodeterminazione informativa e chiedere informazioni sul trattamento dei propri dati personali. L’obbligo di informazione serve a garantire un trattamento trasparente dei dati e rafforza i diritti delle persone interessate: senza informazioni, una persona potrebbe non accorgersi che i suoi dati vengono trattati e non potrebbe far valere i propri diritti ai sensi della LPD.

Il lato cantonale mette a disposizione strumenti di supporto: l’Incaricata zurighese della protezione dei dati offre informazioni e lettere modello per il diritto di accesso e per il blocco dell’accesso ai propri dati, nonché checklist e consigli per proteggere le informazioni personali.

A seconda dei fatti, strade diverse conducono all’obiettivo. I privati ricevono consulenza sui propri diritti dagli incaricati cantonali; per segnalare una violazione della protezione dei dati, l’autorità di vigilanza competente è l’interlocutore giusto.